Injection SQL - vulnérabilité de site web

cheboy -  
Bonjour
Je teste la vulnérabilité d'un site web que j'ai créé moi-même et j'aimerais savoir par votre si celà est vulnérable à l'injection SQL:

Voici le site sans le signe ' :
http://siteexemple/index.php?doc=25&&model=30&idmerci=78&doc=63

Et quand je lui ajoute le signe ' cela donne comme message d'erreur:

Parse error: syntax error, unexpected T_CONSTANT_ENCAPSED_STRING in /var/home/common/php/common.php3(1442) : eval()'d code on line 1

Alors dites-moi s'il vous plait si c'est vulnérable à l'injection SQL

Merci

4 réponses

  1. MaximeL.
    Nous ne pourrons accéder à ton site car il s'agit d'un domaine local
    http://siteexemple/

    Envoies nous le site avec une adresse IP ou un nom de domaine à la place afin que nous puissions y accéder
    1
    1. ThEBiShOp Contributeur
      Si dès qu'on met une quote dans ton formulaire, ça le fait planter, c'est qu'il est pas vraiment au point...
      0
      1. cheboy
        Non ce n'est pas encore en ligne le site concerné car je m'exerce encore en local. Mais si vous devez qu'en même savoir à travers le message d'erreur là au moins non ?
        Est-ce que vous avez besoin de voir le site en ligne avant de savoir si c'est vulnérable ou pas ?

        Moi je ne connais pas grande chose en SQLi c'est pourquoi je sollicite votre aide

        Rappel:
        Voici le site sans le signe ' :
        http://siteexemple/index.php?doc=25&&model=30&idmerci=78&doc=63

        Et quand je lui ajoute le signe ' (http://siteexemple/index.php?doc=25&&model=30&idmerci=78&doc=63') cela donne comme message d'erreur:

        Parse error: syntax error, unexpected T_CONSTANT_ENCAPSED_STRING in /var/home/common/php/common.php3(1442) : eval()'d code on line 1

        J'attends une bonne réponse qui pourrait me mettre sur la voix

        merci
        0
        1. ThEBiShOp Contributeur
          désolé mais on n'est pas devin, si on n'a aucune idée de ce qu'il y a dans ton code, on ne va pas te donner une solution dont on n'a pas le problème sous les yeux.
          0
        2. MaximeL.
          En effet, et tout ce qu'on peut te dire c'est que si en rajoutant un simple > ' < dans ton code ca fait planter il y à un problème.

          Plusieurs fonctions systèmes te serviront à te protéger des attaques sql:

          Par exemple quand tu reçois une variable de type POST tu peux faire

          $mavariable = addslashes($_POST['variable']);
          0
      2. cheboy
        ok
        merci à toi MaximeL. pour ton conseil
        0

        Discussions similaires

        Site fiable de contrefaçon
        AhmedAMG

        2 réponses